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SYSTEIVIE DE CHARGEMENT INALTERABLE. 



_ Systeme informatique relie a un reseau de communi- 
cation au travers d'une interface reseau, comportant une 
unite de traitement ayant un moyen memoire, une unite de 
stockage accessible en lecture seule, un moyen de rede- 
marrage relie a I'unite de traitement, une interface d'un re- 
seau administrateur, et un support de stockage temporaire; 

systeme dans lequel lorsque le moyen de redemarrage 
est dans une premiere position, I'interface reseau de com- 
munbatlon est non active (T12), {'interface du reseau admi- 
nistrateur est active (T5), le moyen memoire est verrouille 
en ecriture, Punlte de stockage est deconnectee et I'unite de 
traitement communique avec le support de stockage tempo- 
raire, 

et lorsque le moyen de redemarrage est dans une 
deuxieme position, ('interface reseau de communication 
ainsi que I'interface du reseau administrateur sont actives 
(T8). le moyen memoire est verrouille en ecriture, I'unite de 
stockage ainsi que le support de stockage temporaire sont 
deconnectees. 
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Domaine dc T invention 

5 La presente invention conceme le domaine general du traitement de 

donnees et plus parliculierement celui du chargemeni d'un processus infomiatique 
dans un systeme infomiatique relie a au nioins un reseaii de communication au 
travers d'au moins une interface reseau, ledit systeme infomiatique comportant au 
moins une unite de traitement ayant un moyen menioire, ladite unite de traitement 
10 reliee a la au moins une interface reseau et a une unite de stockagc. 

An anterieur 

1 5 Un systeme infomiatique est un ensemble materiel et logiciel pemiettant de 

repondre a un ou plusieurs besoins de traitement. 

Le systeme est generaliste lorsqu'il pemiet de repondre a un vaste ensemble 
de besoins de traitement differents. Un ordinateur tel qu'un PC par exemple, est 
un systeme generaliste, qu'on peul uliliser pour faire par exemple de la 

20 comptabilite, du traitement de texte, des jeux, ou de la composition niusicale. 

Par contre, un systeme est specialise lorsqu'il ne repond qu'a un besoin 
precis. Un tel systeme est voue a raccompiissenient d'une tache unique. 
Differents equipenients mis en oeuvre dans les reseaux infomiatiques sont de bons 
exeniples de systemes specialises. Citons comme exemple les Firewalls, routeurs, 

25 ou switchs. 

Les consequences d'une prise de controle d'un systeme infomiatique par un 
pirate infomiatique ou d'une erreur de manipulation conduisant a une perte de la 
configuration d'un systeme, peuvent etre dramatiques. Aussi, il est vital pour une 
entreprise d'etre certaine que certains equipenients infomiatiques sont 
30 invulnerables et qu'on ne pent alterer ieur configuration, II est egalenient 
important d'avoir la garantie que si le systeme est pirate tout de nienie, il est 
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possible de revenir a la configuration originale en quelques secondes et de faQon 
simple. 

Actuellement, Ics systenics specialises qui sont bases sur un logiciel sont 
une categorie particulierement vulnerable. C'est le cas des serveurs ou des bases 
5 de donnees qui sont des logiciels dedies a une utilisation paiticuliere. Les deux 
seules niethodes de protection de ces systemes sont la niise en place d'une gesiion 
des droits d'acces, et la mise en place de materiels de securite exteme. 

La gestion des droits d'acces est le moyen de protection le plus ancien des 
systemes infomiatiques. II s'agit de restreindre Pacces au systeme par Tobligation 
10 de lui foumir un nom et un mot de passe valables. 

Ce moyen est relativement efficace contre les intrusions des neophytes, 
mais tres insuffisant pour se proteger des attaques de veritables pirates 
informatique. Une protection par un mot de passe ne sera efficace que tres 
localement, et ne sera en tous cas pas en mesure d'offrir une vraie garantie. 
15 Afin d^ameliorer la protection d^un systeme, on pent Pisoler du reseau et en 

controler Tacces au moyen do materiels specialise, comme un Firewall ou un 
sen'eur de procuration (Proxy). Ceux-ci controlent le trafic du reseau et les acces 
aux divers systemes. 

Un materiel de protection peut-etre plus ou moins efficace. Mais si un pirate 
20 informatique airive a contounier la protection d'une maniere ou d'une autre, alors 
le systeme protege se retrouve a la merci complete de Tattaquant. D'autre part une 
telle protection n'a aucune efficacite contre une eneur de manipulation de 
Padministrateur. Cela ne Tempechera pas d'effacer la configuration de son 
serveur, puisqu'il agit directement sur ses systemes, de Tinterieur sans passer par 
25 les elements de securite. 

La majorite des systemes inalterables de Tan anterieur sont ccnfomient au 
concept decrit sur la figure 7. Ce concept correspond a un systeme informatique 
101 rclie a un reseau dtr communication externe 102 non securise au travers d'une 
interface reseau 105, a un reseau interne protege 104 au travers d'une autre 
30 interface reseau 107 et eventuellement a un reseau administrateur non represente. 
Le systeme infoniiaiique 101 compone une unite de traitement 108 ayant un 
moyen memoire 109. D'autre part, Tunite de traitement est reliee aux interfaces 
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reseaux et a une unite de stockage 111. Ce systenie est vulnerable et presente les 
inconvenients precites. 

Une solution peut consister a utiliser un systeme entierement materieK done 
invulnerable aux attaques extemes. Par contra ce genre de systeme n'est pas facile 
5 a realiser pour des fonctions complexes. Toutefois, il peut exister certaines failles 
de sccuritc ou des bogues qui entrainent une vulnerabilite particuliere. D'autre 
part, il presente le grand inconvenient d'etre rigide. En effet. Tune des 
caracteristiques d'un systeme entierement materiel est d'etre non-configurable. II 
est done par nature peu souple et non evolutif. 

10 

Objet et description de T invention 

La presente invention vise a remedier aux inconvenients precites et en 
particulier a pemiettre au systeme infonnatique d'etre inalterable depuis 
15 Texterieur. 

Un autre but de la presente invention est de rendre le systeme configurable 
et evolutif. 

Ces buts sont atteints grace a un procede de chargement d'un processus 
informatique dans un systeme infonnatique du type defini en tete de la 

20 description, caracterise en ce que le processus infonnatique est place dans un 
mode configuration lorsqu'un nioyen de redemanage relie a Tunite de traitement 
est actionnc selon une premiere position et place dans un mode exploitation 
lorsque le moyen de redemarrage est actionne selon une deuxieme position : 
tel que dans le mode configuration, un premier systeme d'exploitation est 

25 prealablement charge dans le moyen memoire de Punite de traitement depuis 
Funite de stockage fonctionnant en lecture seule, puis le moyen memoire est 
verrouille en ecriture, Tunite de stockage est deconnectee, la au moins une 
interface de reseau de communication est desactivee, en revanche une interface 
d'un reseau administrateur reliee a Punite de traitement est activee, et Punite de 

30 traitement communique avec un support de stockage temporaire; 

tandis que dans le mode exploitation un deuxieme systeme d'exploitation est 
prealablement charge dans le moyen memoire de Punite de traitement depuis 
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Tunite de stockage fonctionnant en lecture seule, puis le moyen memoire est 
verrouille en ecriture, les interfaces des reseaux de communication et 
d'administrateur sont activees, et le support de stockage temporairc ainsi que. 
Tunite de stockage sont deconnectes. 

Une caracteristique de Tinvention est que en basculant d'une position a 
Pautre, le moyen de redemarrage passe par un etat de chargement transitoire 
durant lequel un programme transitoire est charge dans le moyen memoire de 
Punite de traitemeni depuis Punite de stockage fonctionnant en lecture seule, la au 
moins une interface reseau de communication ainsi que P interface du reseau 
administrateur sont desactivees et la position anterieure ou actuelle du moyen de 
redemarrage est prise en compte. 

Une autre caracteristique de P invention consiste en ce que durant Petat de 
chargement transitoire, lors du passage de la premiere position a la deuxieme 
position du moyen de redemarrage, Punite de traitement lit des infomiations sur le 
support de stockage temporaire de sorte a parametrer le deuxieme systeme 
d'exploitation charge ulterieurement. 

L'invention est aussi caracterisee en ce qu'en mode configuration, des 
donnees sont lues et/ou stockees dans le support de stockage temporaire depuis 
Punite de traitement, commandee par Pinterface du reseau administrateur. 

L'invention conceme egalement un systeme informatique du type defmi 
en lete de la description, comportant en outre un moyen de redemarrage relie a 
Punite de traitement, une interface d'un reseau administrateur, et un support de 
stockage temporaire; 

et en ce que Punite de stockage est en lecture seule ; 

lorsque le moyen de redeman*age est dans une premiere position, la au moins une 
interface reseau de communication est non active, I'intcrface du reseau 
administrateur est active, le moyen memoire est verrouille en ecriture, Punite de 
stockage est deconnectee et Punite de traitement communique avec le support de 
stockage temporaire; 

et lorsque le moyen de redemarrage est dans une deuxieme position, la au moins 
une interface reseau de communication ainsi que Pinterface du reseau 
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administrateur sont actives, le moyen memoire est verrouille en ecriture, Tunite de 
stockage ainsi que le support de stockage temporaire sont deconnectees. 

Selon un premier mode particulier do realisation, le systeme est an serveur 
informatique relie a un reseau de communication exteme non securise an travers 
5 de r interface reseau. 

Selon un deuxieme mode de realisation, le systeme est un filtie passif relie 
a un reseau de communication interne au travers de Tinterface reseau. 

Selon un troisieme mode de realisation, le systeme est un systeme de 
commutation (routeur, commutateur) relie a un reseau de communication exteme 
10 non securise au travers d'une premiere interface reseau et a un reseau de 
communication intenie protege au travers d'une seconde interface reseau. 

Selon un quatrieme mode de realisation, le systeme est un filtre actif 
(firewall, traceur) relie a un reseau de communication exteme non securise au 
travers d'une premiere interface reseau et a un reseau de communication interne 
15 protege au travers d'une seconde interface reseau. 

Selon un aspect de I'invention, le support de stockage temporaire est 
physiquement amovible. 

Selon un autre aspect de P invention, le support de stockage temporaire est 
logiqucmcnt deconnccte. 
20 Selon un mode particulier de realisation, ledit moyen de redeniarrage est 

un interrupteur physique. 

Selon un autre mode de realisation, ledit moyen de redemarrage est un 
inteiTupteur logique. 

25 

Breve description des dessins 

Les caracteristiques et avantages de la presente invention ressortiront 
mieux de la description suivante, faite a titre indicatif et non limitatif, en regard 
30 des dessins annexes sur lesquels : 

la figure L montre un systeme infomiatique inalterable, evolutif et configurable 
confomie a Tinvention, 
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la figure 2 montre le systeme infomiatique de la figure 1, lors de la transition vers 
un mode configuration, 

la figure 3 montre Petat du systeme infomiatique de la figure 1, en mode 
configuration, 

5 la figure 4 montre le systeme infomiatique de la figure 1, lors de la transition vers 
un mode exploitation, 

la figure 5 montre Tetat du systeme infomiatique de la figure i; en mode 
exploitation. 

la figure 6 est un organigramme illustrant le fonctionnement du systeme 
10 infomiatique des figures 2, 3, 4 et 5, et 

la figure 7 montre un exemple d^un systeme infomiatique de i art anterieur. 



Description detail lee d'un mode de realisation preferentiel 

La figure 1 illustre un exemple de dispositif d'un systeme infomiatique I 
inalterable depuis Texterieur. Le systeme infomiatique 1 est relie a un reseau de 
communication 2 (de type analogique, numerique, mobile ou satellitaire ou une 
coiiibinaison de ces types) au travers duquel il peut comniuniquer. 

Ce systeme 1 coniporte comnie tout systeme infomiatique pouvant se 
connecter a un reseau, une interface de communication, ou interface reseau 5, 
reliee d'une part dircctement au reseau de communication 2 et d'autre pan a une 
unite centrale de traitenient 8 de ce systeme infomiatique L Evidemment, Tunite 
cenirale coniprend un moyen menioire (niemoire vive). Une interface utilisateur 7 
peut etre cgalement prevue au travers d'un reseau interne 4 (illusiree en traits 
pointilles). Le systeme I comporte une interface reseau suppleiiientaire 6 reliee a 
un reseau d 'administration 3. 

Seion Parchitecture du systeme infomiatique 1, Punite de traitenient 8 a 
acces en lecture seule a une unite de stockage 1 1 de type quelconque. D'autre 
pait, le systeme infomiatique 1 coniporte un support de stockage temporaire 12 
(illustree en traits pointilles) qui peut etre amovible de type disquette tel un lecteur 
CD-Rom ou qui peut etre logiquenient deconnectable de type quelconque. Le 



BNSDOCID <FR 2824927A1.I > 



7 



2824927 



systeme infomiatique 1, dispose aussi d'un moyen de redemarrage 10, pemiettant 
de connecter ou de deconnecter les moyens de stockage. Lorsque le moyen de 
redemarrage 10, pemiet Faeces aux unites dc stockage, en paiticulier au support 
de stockage temporaire 12, les rescaux sent coupes excepte le reseau 
d'administrateur et ne peiivent-eirc reiablis que par un redemarrage du systeme 
informatique 1. 

Le moyen de redemanage 10, peut-ctre un interrupteur physique actionne 
par un administrateur ou un interrupteur logique actionne par un programme 
informatique a iravers un circuit logique. 

Lorsque le moyen de redemarrage 10, est dans une premiere position, le 
systeme infomiatique 1, demarre en mode « configuration ». Ce mode coupe de 
maniere materielle les interfaces 5 et 6 des reseaux de communications excepte le 
reseau d^administrateur 3, venouille le moyen memoire 9 de Tunite de traitement 
8 en ecriture, et connecte le support de stockage temporaire 12. Le systeme 
informatique 1 pent done etre utilise par Tadministrateur selon ses besoins. 

Lorsque le moyen de redemarrage 10, est dans unc deuxieme position, le 
systeme infomiatique 1, se place en mode « exploitation ». Ce mode coupe de 
maniere materielle toute unite permettant le stockage peniianent d' informations 
(c'esi-a-dire le moyen memoire 9 de Punite de traitement 8 est verrouille en 
ecriture. le support de stockage temporaire 12 ainsi que Tunite de stockage 11 
sont deconnectes), et par contre connecte toutes les interfaces reseaux 5, 6 et 7. Le 
systeme peut done fonctionner sans aucune possibilite d'alieration provenanl de 
Pexterieur, Si le systeme venait a etre corrompu pour une raison ou une autre, 
Tactionnement du moyen de redemarrage 10, declenclierait le redemarrage de la 
machine. Celle-ci se retrouverait exactement dans Tetat initial predefmi, puisque 
aucune infomiation pemianente n'a pu etre laissee sur le systeme. 

Dans une variante de Tinvention Tunite de stockage II et le support de 
stockage temporaire 12 peuveni cunstiiuer un meme module. 

Le systeme infomiatique 1 decrit dans la figure 1 peut representer un 
systeme de commutation de type routeur ou commutateur ou bien encore un filtre 
actif du type firewall ou traceur. Le filtre actif est un ensemble materiel et logiciel 
limitant les acces entre un reseau exteme non securise, tel le reseau de 
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communications 3, et un reseau interne prive 4. Un tel systeme comporte 
classiquement une premiere interface reseau 5 reliee au reseau exteme non 
securise 2 et une seconde interface reseau 7 reliee au reseau interne prive 4. Ces 
deux interfaces sont des interfaces de communication standard (serie, parallele, 
Ethernet, ou autre) reliees en outre a une unite de traitement 8. L'unite de 
traitement 8 a pour role essentiel de reglementer le trafic entre les deux reseaux 
d'apres des tables de routage et des regies defmies prealablement en fonction des 
besoins de communication entre les deux reseaux. Elle peut ainsi flltrer les 
donnees traversant le filtre actif 1 et les transferer ou non vers le reseau prive 4, 
sous leur fonne initiale ou sous une forme modifiee. 

Lorsque la panie concemant le reseau 4 (iliustree en traits 
pointilles) n'est pas presente, le systeme 1 de la figure 1 peut se rapporter plus 
paiticulierement soit a une architecture mettant en ccuvre un seweur informatique 
(par exemple un serveur WEB), soit a un filtre passif. 

La figure 2 schematise le systeme informatique inalterable 1, lors dfe la 
transition vers le mode configuration. Lorsque le moyen de redemarrage 10 est 
actionne dans une premiere position (position 1 : mode configuration ), le systeme 
informatique traverse une phase transitoire, ou un programme transitoire est 
charge dans le moyen memoire 9 de Punite de traitement 8 depuis I 'unite de 
stockage 11 fonctionnant en lecture seul, en devenouillant tout systeme 
d'exploitation preexistant dans le moyen memoire 9. Les interfaces reseaux 5 et 7 
des reseaux de communication exteme 2 et interne 4 ainsi que I'interface 6 du 
reseau administrateur 3 sont desactivees. Ensuite un premier systeme 
d'exploitation (mode configuration) est charge dans le moyen memoire 9 de 
I'unite de traitement 8 depuis I'unite de stockage 1 I fonctionnant en lecture seule, 
puis le moyen memoire 9 est verrouille en ecriture et seule Tinterface 6 du reseau 
administrateur 3 est activee. 



La figure 3 montre I'etat du systeme infomiatique inalterable en mode 
configuration, Dans ce mode, le systeme d'exploitation est veiTOuille dans le 
moyen memoire 9 de I'unite de traitement 8, interdisant a toute personne de 
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Talterer. L'unite de stockage II peut etre deconnectee, et les interfaces 5 et 7 des 
reseaux de communication extenie non securise 2 et interne protege 4 reste 
desactivees, et Tunite de traitement 8 communique avec le support de stockage 
temporaire 12. Durant Pexecution du mode configuration, les donnees dans le 
support de stockage temporaire 12 peuvent etre lues par le reseau administrateur 3 
a travers Tunite de traitement 8 pour eventuellement inscrire ou comger des 
donnees pouvant etre utile lors d'un chargement ulterieur d'un deuxierne systeme 
d'exploitation pour le mode exploitation. D'autre part, des donnees, des traces ou 
des informations d'etats peuvent etre lues par le reseau administrateur 3 pour 
qu'elles soient eventuellement stockees dans une memoire en dehors du systeme 
infonnatique 1. 

La figure 4 montre le systeme informatique inalterable 1, lors de la 
transition vers le mode exploitation. Lorsque le moyen de redemarrage 10 est 
actionne dans une deuxierne position (position 2 : mode exploitation le systeme 
infomiatique traverse une phase iransitoire, ou un programme transitoire est 
charge dans le moyen memoire 9 de Punite de traitement 8 depuis Punite de 
stockage 1 1 fonctionnant en lecture seul, en deverrouillant tout systeme 
d'exploitation preexistant dans le moyen memoire 9. Les interfaces reseaux 5 et 7 
des reseaux de communication exteme 2 et interne 4 ainsi que Tinterface 6 du 
reseau administrateur 3 sont desactivees. Ensuite Tunite de traitement 8 lit des 
infomiations sur le support de stockage temporaire 1 I de soi1e a parametrer un 
deuxierne systeme d'exploitation charge ulterieurement. Le deuxierne systeme 
d'exploitation est charge dans le moyen memoire 9 de Punite de traitement 8 
depuis Punite de stockage 11 fonctionnant en lecture seule, puis le moyen 
memoire 9 est verrouille en ecriture. 

La figure 5 montre Petat du systeme infomiatique inalterable 1 en made 
exploitation. Dans ce mode, le systeme d'exploitation est verrouille dans le moyen 
memoire 9 de Punite de traitement 8. Les interfaces 5, 7 et 6 des reseaux de 
communication exteme non securise 2 et interne protege 4 et d'administrateur 3 
respectivement sont activees. II est a remarquer que dans ce mode, il n'existe pas 
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de memoire inscriptible et ainsi le systeme infomiatique est inalterable depuis 
rexterieur. 

Dans les deux modes de fonctionnement, le systeme d'exploitation ne peut 
5 pas etre altere meme pas depuis le reseau administraieur evitant ainsi toute erreur 
de manipulation. D'ailleurs, une fois un systeme d'exploiiaiion charge, le moyen 
memoire 9 de Punite de traitement est verrouillee en ecriture et seul le systeme 
transitoire est capable de le devenouiller pour pouvoir installer un des deux 
systemes d'exploitation, 

10 

Le fonctionnement est maintenant illustre en regard de Torganigramme de 
la figure 6. Dans une premiere etape IL apres Tallumage, le systeme informatique 
est initialise d'une maniere classique en appelant le systeme de base 
d'entrees/sonies (BIOS) et le Secteur de demarrage (Boot). Dans une seconde 

15 etape Tl on rentre dans une phase transitoire, ou un programme transitoire est 
charge dans le moyen memoire 9 de Tunite de traitement 8 depuis Tunite de 
stockage 1 I fonctionnant en lecture seule. Eventuellement, le programme 
transitoire est charge dans le moyen memoire 9 en deveiTOuillant un systeme 
d'exploitation deja stocke dans le moyen memoire 9. Dans unc troisieme etape 

20 T2, les interfaces reseaux 5 et 7 des reseaux de comnnunication exteme 2 et 
interne 4 ainsi que Tinterface 6 du reseau administrateur 3 sont desactivees. Dans 
une qualrieme etape T3, la position de Tinterrupleur est prise en compie el scion 
cetie position, on passe a Tetape T4 ou a Tetape T6. Si Tinien-upteur se trouve 
dans la position 1, alors on passe a Tetape T4, ou un premier systeme 

25 d'exploitation (mode configuration) est charge dans le moyen memoire 9 de 
Punite de traitement 8 depuis Punite de stockage 1 1 fonctionnant en lecture seule, 
puis le moyen memoire 9 est verrouille en ecriture et ensuite Pinterface 6 du 
reseau administrateur 3 est activee a Petape T5. Dans Petape CI, le systeme 1 
passe en mode configuration ou Punite de stockage 1 1 peut etre deconnectee, ou 

30 les interfaces 5 et 7 des reseaux de communication exteme 2 et interne 4 reste 
desactivees, et ou Punite de traitement 8 communique avec un suppon de 
stockage temporaire 12. Dans Petape C2, si Pinterrupteur 10 n'est pas actionne, le 



BNSDOCID. <FR 



.. 2824927A1 I > 



2824927 

11 

systeme infomiatique 1 reste en mode configuration, sinon. on passe a Tetape Bl, 
ou rinteiTupleur bascule dans la position 2 pour revenir a Tetape Tl. Maintenant, 
a la suite de Tetape T3, si TinteiTupteur est a la position 2, on passe a Petape T6, 
ou Tunite de traitement 8 lit des informations sur le support de stockage 

5 temporaire 1 1 de sorte a parametrer un deuxieme systeme d'exploitation charge 
ulterieurement. Dans Tetape T7, un deuxieme systeme d'exploitation est charge 
dans le moyen menioire 9 de Tunite de traitement 8 depuis Tunite de stockage 1 1 
fonctionnant en lecture seule, puis le moyen memoire 9 est verrouille en ecriture. 
Dans Tetape TS, les interfaces 5, 7 et 6 des reseaux de communication exteme 2 et 

10 interne 4 et d'administrateur 3 respectivement sent activees. Puis le systeme 
infomiatique 1 passe en mode exploitation dans I'etape tl, ou le suppoii de 
stockage temporaire 12 ainsi que Tunite de stockage 11 sont deconnectes. Dans 
Tetape E2, si Tinterrupteur 10 n'est pas actionne, le systeme infomiatique 1 reste 
en mode exploitation, sinon, on passe a Tetape B2, ou Tinterrupteur bascule dans 

15 la position 1 pour revenir a Tetape Tl. 



20 



25 



30 
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REVENDICATIONS 

5 LProcede de chargement d'un processus infomiatique dans un systeme 

informatique (1) relie a au inoins un reseau de communication (2, 4 ) au traveis 
d'au moins una interface reseau (5, 7), ledit systeme infomiatique (1) comportant 
au moins une unite de traitement (8) ayant un moyen memoire (9), ladite unite de 
rraitement (8) etant reliee a la au moins une interface reseau (5, 7 ), et a une unite 

iO de stockage (11); 

caracterise en ce que le processus infomiatique est place dans un mode 
configuration (CI, C2) lorsqu'un moyen de redemarrage (10) relie a Tunite de 
traitement (8) est actionne selon une premiere position et place dans un mode 
exploitation (El, E2) lorsque le moyen de redemarrage (10) est actionne selon une 

15 deuxieme position : 

tel que dans le mode configuration (CI, C2), un premier systeme d'exploitation 
est prealablement charge (T4) dans le moyen memoire (9) de Tunite de traitement 
(8) depuis {'unite de stockage (11) fonctionnant en lecture seule, puis le moyen 
memoire (9) est ven-ouille en ecriture, Tunite de stockage (11) est deconneciee, la 

20 au moins une interface (5, 7) de reseau de communication (2, 4) est desactivee, en 
revanche une interface (6) d'un reseau administrateur (3) reliee a Tunile de 
traitement (8) est aclivee (T5), et Tunite de traitement (8) communique avec un 
support de stockage temporaire (12) ; 

tandis que dans le mode exploitation (El, E2) un deuxieme systeme d'exploitation 
25 est prealablement charge (T7) dans le moyen memoire (9) de I'unile de traitement 
(8) depuis I'unite de stockage (11) fonctionnant en lecture seule, puis le moyen 
memoire (9) est verrouille en ecriture, les interfaces des reseaux (5, 7, 6) de 
communication (2, 4) et d'administrateur (3) sont activees, et le support de 
stockage temporaire (12) ainsi que Tunite de stockage (11) sont deconnectes. 
30 2.Procede selon la revendication 1, caracterise en ce qu'en basculant d'une 

position a Tautre (B1,B2), le moyen de redemanage (10) passe par un etat de 
chargement transitoire (Tl, T2, T3) durant lequel un programme transitoire est 
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charge dans le moyen memoire (9) de Tunite de traitement (8) depuis Tunite de 
stockage (11) fonctionnant en lecture seule, la au moins une interface reseau (5, 7) 
de communication (2, 4) ainsi que Tinterface (6) du reseau administrateur (3) sont 
desactivees et la position anterieure ou actuelle du moyen de redemarrage (10) est 
pris en compte. 

3. Precede selon la revendication 2, caracterise en ce qu'en outre, durant 
Tetat de chargement iransitoire (TI, T2, T3, T6, T7) lors du passage de la 
premiere position a la deuxieme position (Bl) du moyen de redemarrage (10), 
r unite de traitement (8) lit des infomiations (T6) sur le support de stockage 
temporaire (11) de sorte a parametrer le deuxieme sysleme d'exploitation charge 
ulterieurenient (T7). 

4. Precede selon Tune quelconque des revendications 1 a 3, caracterise en 
ce qu'en mode configuration (CI, C2), des donnees sont lues et/ou stockees dans 
le support de stockage temporaire (12) depuis Tunite de traitement (8), 
commandee par I'interface (6) du reseau administrateur (3). 

5. Systeme infomiatique (1) relie a au moins un reseau de communication 
(2, 4) au travers d'au moins une interface reseau (5, 7), comportant au moins une 
unite de traitement (8) ayant un moyen memoire (9), ladite unite de traitement (8) 
etant reliee a la au moins une interface reseau (5, 7) et a une unite de stockage 
(11); 

caracterise en ce que, le systeme (1) comporte en outre un moyen de redemarrage 
(10) relie a ! 'unite de traitement (8), une interface d'un reseau administrateur (6), 
et un support de stockage temporaire (12) ; 
et en ce que Punite de stockage (11) est en lecture seule ; 

lorsque le moyen de redemarrage (10) est dans une premiere position, la au moins 
une interface reseau (2, 4) de communication (5, 7) est non active, Tinterface (6) 
du reseau administrateur (3) est active, le moyen memoire (9) est verrouille en 
ecriture, Funite de stockage (11) est deconnectee et Tunite de traitement (8) 
communique avec le suppon de stockage temporaire (12) ; 

et lorsque le moyen de redemarrage (10) est dans une deuxieme position, la au 
moins une interface reseau (5, 7) de communication (2, 4) ainsi que Pinterface (6) 
du reseau administrateur (3) sont actives, le moyen memoire (9) est verrouille en 



2824927 

14 



ecriture, l^unitc de stockage (11) ainsi que le support de stockage lemporaire (12) 
sont deconnectees. 

6. Systeme informatique selon la revendicaiion 5, caracterisc en ce que le 
systeme (1) est un seiA^eur infomiatique relie a un reseau de communication 
externe (2) non securise au travers de Tinterface reseau (5). 

7. Systeme infomiatique selon la revendication 5, caracterise en ce que le 
systeme (1) est un filtre passif relie a un reseau de communication interne (4) au 
travers de T interface reseau (7). 

8. Systeme infomiatique selon la revendication 5, caracterise en ce que le 
systeme est un systeme de commutation (routeur, coniniutateur) relie a un reseau 
de communication exteme (2) non securise au travers d\me premiere interface 
reseau (5) el a un reseau de communication interne protege (4) au travers d'une 
seconde interface reseau (7). 

9. Systeme infomiatique selon la revendication 5, caracterise en ce que le 
systeme est un filire actif (firewall, traceur) relie a un reseau de communication 
exteme (2) non securise au travers d'une premiere interface reseau (5) et a un 
reseau de communication interne protege (4) au travers d'une seconde interface 
reseau (7). 

10. Systeme infomiatique selon i'une quelconque des revendications 5 a 9, 
caracterise en ce que le support de stockage temporaire (12) est physiquenient 
amovible. 

1 I. Systeme infomiatique selon Tune quelconque des revendications 5 a 9, 
caracterise en ce que le support de stockage lemporaire (12) est logiquement 
deconnecte, 

12. Systeme infomiatique selon Tune quelconque des revendications 5 a 
11, caracterise en ce que ledit nioyen de redemarrage (10) est un intenupteur 
physique. 

13. Systeme infomiatique selon Tune quelconque des revendications 5 a 
II, caracterise en ce que ledit moyen de redemarrage (10) est un intenupteur 
logique. 
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